CVE-2026-73663 in FreePBX
Riassunto
di VulDB • 13/08/2026
FreePBX è un IP PBX open source. Dalle versioni 16.0.0 alla 16.0.11 e dalla versione 17.0.4, il modulo missedcall di FreePBX inserisce il nome Caller ID in entrata proveniente da intestazioni SIP From manipolate nell'istruzione INSERT del log delle chiamate perse (missedcalllog) nel file agi-bin/missedcallnotify.php senza effettuare l'escaping o utilizzare parametri bindati. Un chiamante non autenticato può eseguire un'iniezione SQL quando una estensione monitorata rimane in attesa di risposta, corrompendo il database e modificando gli account amministratore di FreePBX per ottenere accesso remoto non autorizzato. Questo problema è stato risolto nelle versioni 16.0.11 e 17.0.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.